Dgraph — это распределенная база данных GraphQL с открытым исходным кодом. До 25.3.3 в Dgraph была обнаружена уязвимость, которая дает неау…

Dgraph — это распределенная база данных GraphQL с открытым исходным кодом. До 25.3.3 в Dgraph была обнаружена уязвимость, которая дает неаутентифицируемому злоумышленнику полный доступ к прочтению каждой части данных в базе данных. Это влияет на конфигурацию Dgraph по умолчанию, где ACL не включен. Атака представляет собой один HTTP POST для /mutate?commitNow=true, содержащий созданное поле для конс в мутации. Значение торта консольно конкатенируется непосредственно в строку запроса DQL через strings.Builder.WriteString после только косметических струн.Заменить преобразование. Не применяется побег, параметризация или структурная валидация. Злоумышленник вводит дополнительный блок запросов DQL в строку конда, который марсер DQL принимает как синтаксически действительный именованный блок запросов. Введенный запрос выполняет серверную сторону, и его результаты возвращаются в ответ HTTP. Эта уязвимость исправлена в 25.3.3.